A Lei de Resiliência Operacional Digital (DORA) entrou em vigor em 17 de janeiro, trazendo diretrizes abrangentes e um marco regulatório detalhado sobre como todas as entidades de serviços financeiros que operam na União Europeia devem garantir a resiliência dos dados contra interrupções imprevistas.
A DORA também reconhece uma realidade amplamente aceita pelos profissionais de segurança cibernética: não se trata mais de saber se ocorrerá um ataque cibernético, mas sim quando. Essa legislação crucial traz um novo nível de rigor e responsabilidade ao setor de serviços financeiros, que continuará a evoluir para salvaguardar a estabilidade da UE e do ecossistema financeiro global.
Muitos segmentos do setor de serviços financeiros, além dos bancos tradicionais e das instituições de crédito, estão agora sujeitos à DORA, incluindo provedores de pagamentos, corretoras de valores, plataformas de negociação, seguradoras e prestadores terceirizados de serviços de tecnologia da informação e comunicação (TIC).
Aqueles que ainda não estão familiarizados com esse nível de regulamentação podem ter dificuldades para cumprir as exigências, conforme indicado pelo “Exercício de Simulação” (DORA) realizado pelos reguladores financeiros europeus.¹ Além disso, provavelmente enfrentarão um escrutínio adicional por parte de clientes, parceiros e outras partes interessadas interligadas, que considerarão isso um novo risco operacional. O descumprimento não significa mais apenas a possibilidade de uma multa muito elevada, mas também danos à reputação e responsabilidade civil para a empresa, seus diretores e seus parceiros.
Embora ainda reste saber com que rapidez os órgãos reguladores financeiros agirão, a DORA representa uma mudança das diretrizes relativas à Readiness dos dados e à resiliência cibernética para a aplicação efetiva dessas normas. Dada a natureza abrangente da DORA, que amplia significativamente a regulamentação financeira da UE no âmbito da TI, os reguladores, que não dispõem de conhecimento e recursos ilimitados, podem enfrentar desafios para fazer cumprir todos os aspectos da DORA imediatamente. Consequentemente, é provável que os reguladores adotem uma abordagem direcionada, concentrando-se nas áreas mais críticas e visíveis de descumprimento.
O que as instituições financeiras estão priorizando
Uma das principais prioridades para o cumprimento da DORA é a apresentação de registros de informações precisos e tecnicamente conformes. Os órgãos reguladores financeiros têm enfatizado que os registros serão um dos principais focos da fiscalização e esperam que as organizações os apresentem no início de 2025. Apresentar um registro preciso que detalhe os principais prestadores de serviços de TI da organização pode ser mais benéfico do que apresentar informações incompletas sobre todos os seus prestadores de serviços de TI.2
Para os responsáveis pela proteção de dados e os CIOs, a DORA é um apelo à ação para que examinem os sistemas legados e avaliem se eles são capazes de resistir às ameaças cibernéticas atuais e de oferecer o desempenho necessário para uma recuperação eficiente e rápida dos serviços.
Além de identificar e mapear os principais sistemas, aplicativos e cargas de trabalho junto aos respectivos provedores de TIC, as organizações devem considerar cuidadosamente os recursos essenciais que protegem, defendem e recuperam esses sistemas. Os recursos críticos incluem:
- Proteção de dados e recuperação
cibernética. Os recursos de recuperação rápida são essenciais no âmbito da DORA para minimizar o impacto operacional de um ataque. A única maneira de atingir o RTO mais rigoroso e ultracurto exigido para sistemas críticos é realizar a recuperação por meio de instantâneos imutáveis baseados em armazenamento. Esses instantâneos devem ser armazenados com segurança em um repositório isolado (ou virtualmente isolado do mundo externo). - Detecção
antecipada de ameaças: Identificar e corrigir possíveis ameaças cibernéticas com antecedência é um aspecto importante da proteção de dados e da Readiness. A capacidade de analisar dados continuamente para detectar anomalias e identificar ameaças, como ransomware e malware, em tempo real, além de automatizar a correção, é essencial para conter um ataque mais rapidamente. - Ambientes de recuperação isolados (IRE) ou salas limpas para testes
de resiliência. A criação de um IRE totalmente autônomo, no qual os dados possam ser restaurados para análise forense e de aplicativos e validados como “limpos” antes de retornarem à produção, agiliza a recuperação. Os IREs também permitem que as organizações testem e aprimorem continuamente as práticas de recuperação cibernética, garantindo a Readiness da organização. - Escalabilidade e desempenho
As empresas continuarão a aprimorar seus serviços, a enfrentar novas exigências regulatórias e a lidar com ameaças cibernéticas emergentes. É importante levar em consideração a capacidade de uma solução de se adaptar à medida que as necessidades de dados mudam em ambientes distribuídos e híbridos, mantendo, ao mesmo tempo, altas velocidades de desempenho para a proteção e a Recovery de dados.
Conformidade com confiança
As organizações que demorarem a estabelecer capacidades robustas para atender à DORA e a outras regulamentações de resiliência em constante evolução — como a PSD2, a NIS2, a APRA CPS 230 e a Lei Europeia de Resiliência Cibernética, que entrará em vigor em 2026 — poderão se deparar com desafios cada vez maiores a serem superados. Elas também poderão ficar em desvantagem competitiva em relação às empresas que conseguirem demonstrar sua capacidade de permanecer resilientes diante de perturbações no ecossistema financeiro global.
Trabalhar com parceiros que compreendem os requisitos de resiliência exigidos pela regulamentação e implementar soluções robustas pode ajudar as organizações a manterem a conformidade e a estarem mais bem preparadas para enfrentar novos desafios regulatórios e defender seu ambiente de dados contra ameaças emergentes.
A Pure Storage e a Commvault uniram-se para desenvolver uma solução conjunta, com design modular, que ajuda as instituições financeiras a aprimorar suas práticas de resiliência cibernética e a atender aos principais pilares da DORA no que diz respeito à resposta a incidentes e aos testes de resiliência. A solução foi desenvolvida por meio da integração dos recursos líderes em resiliência cibernética do Commvault Cloud com a plataforma altamente segura e de alto desempenho da Pure Storage. Saiba mais sobre a solução e nosso compromisso com a resiliência cibernética aqui.
Você está preparado para a Readiness cibernética?
A prontidão reflete uma resiliência cibernética madura, na qual a tecnologia, as pessoas e os processos funcionam perfeitamente para permitir a continuidade dos negócios diante de qualquer desafio cibernético. Avalie a resiliência cibernética da sua organização com a Avaliação de Maturidade Cibernética da Commvault.
1 Principais conclusões do exercício de simulação das ESAs de 2024, Autoridade Bancária Europeia, 17 de dezembro de 2024.
2 Contagem regressiva para a DORA — Quatro pontos importantes das declarações dos órgãos reguladores em dezembro, Skadden, Arps, Slate, Meagher & Flom, LLP, 3 de janeiro de 2025
